O WordPress lançou a versão 7.0.3, que inclui correções de segurança para doze vulnerabilidades diferentes no núcleo do software. Três desses problemas são particularmente notáveis, sendo que o mais grave obteve uma pontuação de 8.9 em 10.
A atualização de segurança do WordPress corrige problemas que vão desde falhas de cross-site scripting (XSS) armazenadas em blocos de edição de conteúdo até uma vulnerabilidade de escalonamento de privilégios e uma vulnerabilidade XSS de alta gravidade na página de login, entre outras. Este tipo de atualização deve ser prioridade para qualquer proprietário de website que utilize o popular CMS, visto que atualizações que corrigem problemas de segurança essenciais não são frequentes, e algumas das vulnerabilidades descobertas poderiam ser exploradas.
Um conjunto de vulnerabilidades maior do que o habitual
Vulnerabilidades de segurança encontradas no núcleo do WordPress tendem a ser relativamente raras, o que torna esta notável. Esta versão faz parte de um recente e incomum conjunto de descobertas de vulnerabilidades no WordPress. Nos últimos tempos, houve uma explosão de pesquisas sobre segurança do WordPress, realizadas por humanos e cada vez mais auxiliadas por IA, que é capaz de identificar vulnerabilidades que poderiam levar dias, senão semanas, para serem detectadas por testes manuais.
A publicação no blog oficial do WordPress sobre essa vulnerabilidade específica pouco explica ou detalha as falhas de segurança além de seus nomes, sem apresentar nenhuma avaliação de risco para cada uma delas. Isso deixa o usuário médio do WordPress, que provavelmente não possui conhecimento aprofundado sobre segurança do WordPress, incerto tanto quanto à relevância da atualização quanto à prioridade dessa lista de doze problemas.
A lista completa das doze vulnerabilidades
As vulnerabilidades corrigidas na atualização incluíam uma vulnerabilidade de cross-site scripting (XSS) armazenada no bloco de Data da Publicação para usuários com nível de Colaborador, uma falha semelhante de XSS armazenada no bloco de Conteúdo da Publicação e uma vulnerabilidade de divulgação de informações no bloco de Últimos Comentários, que permitia visualizar comentários em publicações protegidas por senha.
Entre as outras falhas corrigidas na atualização de segurança, estavam a burla da confirmação de endereço de e-mail, uma vulnerabilidade de injeção de CSS na seção de comentários que contornava a proteção que usava atributos CSS seguros para usuários com acesso de nível de autor e uma vulnerabilidade de XSS armazenado de nível de colaborador relacionada ao elemento de configurações de emojis nas postagens.
A atualização também corrigiu uma vulnerabilidade de escalonamento de privilégios em uma rede com vários sites e com o registro de usuários ativado, que permitia a criação não autorizada de sites na rede por um usuário sem privilégios.
O pesquisador também relatou uma vulnerabilidade de falsificação de solicitação do lado do servidor no componente de validação de URL, que tentava acessar endereços IP locais, e uma vulnerabilidade de XSS refletida na pré-autenticação da página de login, que poderia levar à execução de código PHP.
A atualização de segurança também corrigiu várias outras vulnerabilidades, incluindo uma que permitia o acesso a notas deixadas na área de comentários, uma vulnerabilidade de enumeração de slugs de postagens e uma vulnerabilidade XSS armazenada em nível de colaborador no Quick Edit, que era especialmente perigosa para instalações do WordPress com muitos usuários registrados.
As três vulnerabilidades mais importantes
Dos doze problemas identificados, três representam o nível de gravidade mais elevado para a maioria dos proprietários de sites. A vulnerabilidade XSS de pré-autenticação na página de login foi confirmada como de alta gravidade e é a que os pesquisadores de segurança consideram a mais preocupante. Essa vulnerabilidade é considerada a mais grave entre as descobertas.
Os outros dois problemas que devem gerar preocupação são a vulnerabilidade de falsificação de requisição do lado do servidor (SSRF), que afeta o intervalo de IPs locais de link, e a vulnerabilidade de escalonamento de privilégios existente na rede multisite. Ambos os problemas são graves, mas o impacto do primeiro é difícil de estimar, visto que não há informações técnicas suficientes sobre ele. Vulnerabilidades de SSRF geralmente permitem o envio de requisições HTTP do servidor para qualquer destino, o que seria possível devido à validação insuficiente na aplicação. O intervalo de IPs locais de link refere-se a IPs usados apenas na rede local do servidor, o que significa que essa vulnerabilidade pode fornecer a um atacante acesso a alguns recursos internos. Como não há informações suficientes sobre essa vulnerabilidade, é difícil estimar o impacto e os danos potenciais.
A vulnerabilidade de escalonamento de privilégios na rede multisite do WordPress também representa um problema de segurança significativo. O problema reside no fato de que um usuário não autorizado pode criar um novo blog na rede. Isso pode ser um problema considerável para empresas que utilizam a plataforma WordPress como CMS para seus websites e permitem que usuários se cadastrem em seus sites.
Uma análise mais detalhada da vulnerabilidade XSS na tela de login.
A vulnerabilidade que causou maior alvoroço na comunidade de segurança é o modus operandi para um ataque de cross-site scripting (XSS) pré-autenticação que visa a página de login do WordPress. Essa vulnerabilidade possui uma pontuação CVSS de 8.9.
A vulnerabilidade de Cross-Site Scripting, frequentemente abreviada como XSS, é uma das formas mais comuns que atacantes utilizam para distribuir malware a visitantes desavisados de sites. De acordo com o Open Worldwide Application Security Project (OWAP), o ataque XSS é uma vulnerabilidade que ocorre quando uma fonte não confiável insere dados em uma aplicação web sem a devida codificação, criando assim uma saída involuntária da aplicação. Os atacantes podem usar essa falha de segurança para induzir usuários desavisados de aplicações web a executarem seus scripts maliciosos, que, por sua vez, enganam o navegador, fazendo-o acreditar que um site não confiável é, na verdade, um site confiável, resultando na quebra da sessão do usuário. A vulnerabilidade descoberta recentemente é uma falha de Cross-Site Scripting pré-autenticação encontrada na página de login do WordPress. Isso torna a vulnerabilidade particularmente perigosa, visto que o atacante não precisaria fazer login antes de atacar a aplicação.
No entanto, uma análise mais detalhada revela que a vulnerabilidade exigiria que o atacante convencesse a vítima a interagir com o aplicativo web malicioso ou com o código malicioso. De acordo com o relatório de segurança publicado no repositório GitHub da empresa, o ataque demonstrado poderia ser usado para executar código remotamente; porém, o atacante primeiro precisaria atrair a vítima para visitar seu site para então executar o código remotamente. O relatório acrescenta ainda que a vulnerabilidade afeta todas as versões do wp-admin. A vulnerabilidade está presente no WordPress 7.0.3, que será disponibilizado ainda hoje. A empresa também implementou a atualização de segurança na versão 4.7 para os usuários que utilizam essa versão.
O que os pesquisadores de segurança estão dizendo
Oliver Sild, da empresa de segurança do WordPress Patchstack, comentou sobre a divulgação da vulnerabilidade no X, observando que os problemas foram relatados pela Anthropic, juntamente com outras empresas de segurança e testes de penetração focadas em IA. Ele afirmou que a vulnerabilidade XSS na tela de login era a mais preocupante, pois poderia levar à execução remota de código nos servidores por meio de engenharia social, mas que, devido ao rápido suporte e processo de atualização do WordPress, é menos provável que seja amplamente explorada em comparação com problemas de segurança semelhantes no núcleo do WordPress no passado.
Sild também disse ao Search Engine Journal que a Patchstack está monitorando se a vulnerabilidade XSS na tela de login está sendo explorada na prática. Ele explicou que, com base em sua avaliação, o aspecto de engenharia social necessário para o efeito mais grave parece diminuir a probabilidade de seu uso generalizado, já que exige um esforço extra e imprevisível dos agentes maliciosos, ao contrário das explorações automatizadas.
O que os proprietários de sites WordPress devem fazer
Considerando que vários desses problemas são potencialmente muito sérios (em particular, a vulnerabilidade que afeta a tela de login), recomenda-se que os usuários desses sites atualizem suas instalações para o WordPress 7.0.3 o mais rápido possível. É normal que a maioria dos usuários do WordPress utilize a versão mais recente do software, visto que todas as atualizações de segurança oficiais são aplicadas automaticamente pelos processos normais do WordPress. Portanto, se você utiliza uma versão antiga de um tema ou plugin que não recebe mais suporte, certifique-se de que tudo esteja atualizado para a versão mais recente.
Caso utilize a rede multisite do WordPress com a possibilidade de qualquer pessoa se registrar em seu site, é altamente recomendável verificar se essa vulnerabilidade foi corrigida em sua instalação, visto que ela permite a elevação de privilégios ao nível de administrador em uma instalação WordPress alvo.
ponto de partida
O WordPress 7.0.3 corrige doze vulnerabilidades diferentes, incluindo uma falha particularmente perigosa que permitiria a um atacante executar código arbitrário no servidor através da tela de login. O problema foi corrigido em todas as versões do CMS desde a 4.7, e o mecanismo de atualização rápida do WordPress deve reduzir o tempo em que o software permanece exposto. Ainda assim, cabe aos administradores dos sites manter suas instalações do WordPress atualizadas (caso ainda não o tenham feito), pois pode levar algum tempo para que as alterações se propaguem por todo o ecossistema.
Perguntas Frequentes
P1: O que o WordPress 7.0.3 corrige?
O WordPress 7.0.3 corrige doze problemas de segurança diferentes encontrados no núcleo do aplicativo, incluindo várias vulnerabilidades de cross-site scripting (XSS) armazenadas e uma vulnerabilidade XSS facilmente explorável na página de login.
Q2: Qual é a vulnerabilidade mais grave nesta versão?
A vulnerabilidade mais grave corrigida no WordPress 7.0.3 é uma vulnerabilidade XSS na página de login, com uma pontuação de gravidade de 8.9 em 10. Além disso, trata-se de um problema de pré-autenticação que permite a execução remota de código quando a vítima é convencida a abrir um link malicioso.
Q3: O que significa “pré-autorização” neste contexto?
Isso significa que, para explorar a vulnerabilidade, um atacante não precisaria se autenticar no site WordPress alvo. Dito isso, o atacante precisaria induzir a vítima a clicar em um link malicioso.
Q4: Até que ponto a correção foi implementada em versões anteriores?
A correção foi implementada em todas as versões do WordPress a partir da 4.7 para a conveniência dos usuários que utilizam versões mais antigas do CMS.
Q5: O que é cross-site scripting (XSS)?
Cross-site scripting (XSS) é uma vulnerabilidade de segurança que permite a um atacante injetar scripts maliciosos em um site que é executado no navegador da vítima.
Q6: Do que se trata a vulnerabilidade de falsificação de solicitação do lado do servidor?
A vulnerabilidade de falsificação de requisição do lado do servidor está associada à validação inadequada de URLs, o que coloca em risco os dados acessíveis no intervalo de endereços IP locais. Os detalhes específicos da vulnerabilidade ainda não foram divulgados publicamente.
Q7: Quem descobriu essas vulnerabilidades?
Segundo Oliver Sild, da Patchstack, os problemas foram descobertos por diversas empresas de cibersegurança e testes de penetração focadas em IA.
Q8: Essa vulnerabilidade está sendo explorada ativamente neste momento?
Segundo a Patchstack, não há certeza se a vulnerabilidade está sendo explorada ativamente; no entanto, a probabilidade é baixa devido à engenharia social necessária para induzir os usuários a clicarem no link malicioso.
